我使用hibernate与我的数据库进行交互，现在我想让我的数据库层对SQL注入安全，所以我做了一些研究，我发现我的查询应该是参数化的，这是否意味着我只是结构化我的 HQL 查询为：
List mothers = session.createQuery(
"select mother from Cat as cat join cat.mother as mother where cat.name = ?")
.setString(0, name)
.list();
然后它被参数化并保护免受 SQL 注入，或者还有其他我需要做的事情......
还提到了另一件事 - “总是逃避您的数据”如何实现？？
【问题讨论】：
标签： hibernate hql sql-injection parameterized
我不知道setString()，但如果它与setParameter() 相同，那么是的，这样做足以防止sql注入。
更新
通过转义数据，意味着您必须确保您没有在数据库中存储危险值。
一个简单的例子是，例如，如果你传入参数
String name = "<script>alert('Hello');</script>";
//insert this name into Mother, and then when you load it from the database, it will be displayed
List mothers = session.createQuery(
"select mother from Cat as cat join cat.mother as mother where cat.name = ?")
.setString(0, name)
.list();
到您的查询，然后下次从数据库中加载它，并在您的网络浏览器中呈现它，它将运行脚本。
您需要确保您的框架转义所有非法字符，即：将&lt; 更改为&lt;，然后再将其插入数据库。
如果您的框架不这样做，则必须手动进行。
有大量的库可以为您正确转义代码。例如，看看this question 和那里的答案。
【讨论】：